Sicherheitslücke in der IT 04.06.2019, 07:00 Uhr

Hacker könnten Staubsauger-Roboter zur Spionage nutzen

Informatiker der TU Darmstadt haben festgestellt, dass die Software von Staubsauger-Robotern nicht immer ausreichend geschützt ist. Hacker könnten sie knacken und die Geräte fernsteuern oder über sie Daten aus dem Haushalt sammeln.

Tesvor-Gerät bei der Analyse

Bei der Sicherheitsanalyse an der TU Darmstadt hat der Staubsauger-Roboter von Tesvor schlechte Noten erhalten.

Foto: Markus Miettinen / System Security Lab

Das Internet der Dinge (Internet of Things – IoT) macht das Leben in vielerlei Hinsicht leichter. Geräte arbeiten nicht nur autonom, sie verbinden sich auch miteinander und sammeln Informationen, die ihre Effektivität erhöhen. Gleichzeitig ist es in vielen Fällen möglich, Heizung, Kühlschrank, Staubsauger & Co. aus der Ferne anzusteuern. Dem Komfort steht allerdings ein Risiko gegenüber, über das sich viele Verbraucher gar nicht im Klaren sind: Nicht immer ist die Technik ausreichend gegen Angriffe von Hackern geschützt. Das haben jetzt Wissenschaftler der TU Darmstadt gezeigt. Beim Staubsauger-Roboter Tesvor X500 haben sie eine Schwachstelle in der Software entdeckt. Nach Aussage der Forscher wäre es dadurch sogar möglich, die Geräte fernzusteuern und Informationen, etwa über den Grundriss der Wohnung, abzurufen.

Fernsteuerung für Staubsauger-Roboter: Komfortabel und gefährlich

Staubsauger-Roboter sollen eigentlich nur Staub saugen. Die Technologie hat sich aber in den letzten Jahren erheblich weiterentwickelt. Bei den ersten Modellen war es noch ein typischer Anblick, dass sie so lange gegen dasselbe Tischbein fuhren, bis der Akku leer war. Heute verfügen die meisten Staubsauger-Roboter über eine ausgefeilte Technik mit zahlreichen Funktionen, die ihre Arbeit besonders effizient gestalten sollen. Zur Ausstattung gehören beispielsweise oftmals verschiedene Sensoren sowie eine integrierte Kamera. Beides nutzen die Roboter, um Daten über die Wohnung zu sammeln. Mit diesem virtuellen Grundriss können sie sich besser durch die Räume bewegen – ohne versehentlich einen Bereich doppelt zu reinigen.

Top Stellenangebote

Zur Jobbörse
PFINDER KG-Firmenlogo
Produktentwickler (m/w/d) Zerstörungsfreie Werkstoffprüfung PFINDER KG
Böblingen Zum Job 
WTM ENGINEERS GMBH-Firmenlogo
BIM-Modeler (m/w/d) für den Bereich Ingenieurwasserbau WTM ENGINEERS GMBH
Hamburg, Kiel, Rostock Zum Job 
Hamamatsu Photonics Deutschland GmbH-Firmenlogo
Master / Diplom in Physik oder Elektrotechnik als Vertriebsingenieur/in für Bereich Analytical (m/w/d) Hamamatsu Photonics Deutschland GmbH
Herrsching am Ammersee Zum Job 
Ministerium für Wirtschaft, Verkehr, Arbeit, Technologie und Tourismus-Firmenlogo
Referentin/Referent (m/w/d) im Referat "Straßenbau" Ministerium für Wirtschaft, Verkehr, Arbeit, Technologie und Tourismus
Mercer Stendal GmbH-Firmenlogo
Betriebsingenieur Mechanik (m/w/d) Mercer Stendal GmbH
Arneburg Zum Job 
Hamburger Hochbahn AG-Firmenlogo
Techniker / Ingenieur Elektrotechnik Wartung / Instandhaltung (w/m/d) Hamburger Hochbahn AG
Hamburg Zum Job 
Städtisches Klinikum Dresden-Firmenlogo
Ingenieur (m/w/d) Technische Gebäudeausrüstung (TGA) Städtisches Klinikum Dresden
Dresden Zum Job 
Rohde & Schwarz Österreich GesmbH-Firmenlogo
Softwareentwickler (m/w/d) Embedded Systems Rohde & Schwarz Österreich GesmbH
Singapur, Stuttgart, Berlin, München Zum Job 
Carl Zeiss Meditec AG-Firmenlogo
Applikationsingenieur (m/w/x) Carl Zeiss Meditec AG
Carl Zeiss Meditec AG-Firmenlogo
Process Engineer (m/w/x) Carl Zeiss Meditec AG
Carl ZEISS MultiSEM-Firmenlogo
Entwicklungsingenieur Elektronik (m/w/x) Carl ZEISS MultiSEM
Oberkochen Zum Job 
Bundesamt für Bauwesen und Raumordnung (BBR)-Firmenlogo
Ingenieurinnen und Ingenieure (w/m/d) in den Fachrichtungen Elektro- bzw. Nachrichtentechnik Bundesamt für Bauwesen und Raumordnung (BBR)
Bundesamt für Bauwesen und Raumordnung (BBR)-Firmenlogo
Ingenieurinnen und Ingenieure (w/m/d) in den Fachrichtungen Versorgungstechnik und Gebäudeautomation Bundesamt für Bauwesen und Raumordnung (BBR)
THOST Projektmanagement GmbH-Firmenlogo
Projektkoordinator*in (m/w/d) Ladeinfrastruktur THOST Projektmanagement GmbH
Freiburg im Breisgau, Stuttgart, Karlsruhe, München, Mannheim Zum Job 
GEBHARDT Fördertechnik GmbH-Firmenlogo
Entwicklungsprojektleitung Robotik & Lagerfahrzeuge (m/w/d) GEBHARDT Fördertechnik GmbH
Sinsheim Zum Job 
GEBHARDT Fördertechnik GmbH-Firmenlogo
Team Lead Process- & Change-Management engineering department (m/w/d) GEBHARDT Fördertechnik GmbH
Sinsheim Zum Job 
Handtmann Systemtechnik GmbH & Co. KG-Firmenlogo
Qualitätsingenieur (m/w/d) Handtmann Systemtechnik GmbH & Co. KG
Biberach/Riss Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Projektingenieur Ingenieurbau (w/m/d) Die Autobahn GmbH des Bundes
München Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieurin oder Bauingenieur Planung (w/m/d) Die Autobahn GmbH des Bundes
Hannover Zum Job 
Stadtwerke Aalen GmbH-Firmenlogo
Asset-Management Koordinator*in Stadtwerke Aalen GmbH

Das klingt sinnvoll und ist besonders komfortabel, wenn der Nutzer die Funktionen aus der Ferne in Gang setzen kann. Spontan hat sich Besuch angesagt? Dann tippt der Besitzer des Staubsauger-Roboters einfach auf seine Smartphone-App und lässt zu Hause noch mal eben schnell durchsaugen. Genau diese Fähigkeit bietet Hackern aber unter Umständen eine große Angriffsfläche. Den Sicherheitsforschern der TU Darmstadt ist es bei mehreren Staubsauger-Robotern gelungen, Sicherheitslücken zu entlarven. Unter anderem spielten sie bei einem Modell der Firma Mi Robot ein schädliches Update auf. Dem Staubsauger-Roboter Tesvor X500 könnten Hacker gemäß der Testreihe der Forscher sogar den kompletten Grundriss der Wohnung entlocken. Außerdem wird der Status des Gerätes für sie sichtbar. Da die meisten Verbraucher einen Staubsauger-Roboter seine Arbeit machen lassen, wenn sie selbst nicht zu Hause ist, ist diese Information sehr sensibel.

Adresscode ist zu leicht zu knacken

Tesvor X500 gehört mit einem Preis von knapp 200 Euro zum unteren Preissegment und kann problemlos online bestellt werden. Allerdings beschränkt sich die vorhandene Sicherheitslücke nicht auf dieses Modell, sondern bezieht sich nach Angabe der Wissenschaftler auf alle Saug- und Wischroboter dieses Herstellers.

Ein Hacker braucht demnach nicht mehr als die sogenannte MAC-Adresse, um das Gerät fernzusteuern und Daten abzurufen. Bei der MAC-Adresse handelt es sich um lange Zahlenfolge, über die sich ein elektronisches Gerät eindeutig identifizieren lässt. Für einen potenzielle Angreifer ist es dabei kein Problem, die MAC-Adresse zu knacken. Er muss lediglich verschiedene Nummernfolgen aus dem Adressbereich des Herstellers ausprobieren. Eine entsprechende Software spielt die Varianten sogar automatisch durch.

Zertifikat fehlt bei der Auslieferung

Als Backend nutzt der Staubsauger-Roboter von Tesvor „Amazon Web Services (AWS) Internet of Things (IoT)“. Mit dieser App kann der Nutzer das Gerät steuern. Als Authentifikation reicht jedoch die MAC-Adresse aus. Weitere Sicherheitsmaßnahmen wie eine Zugriffsbeschränkung sind nicht installiert. Entsprechend einfach sei es für einen Hacker, den Code zu knacken.

Ein weiteres Sicherheitsproblem komme hinzu. Normalerweise benutzt die App AWS IoT Zertifikate des Herstellers. Sie werden benötigt um, Authentizität und Vertraulichkeit in der Kommunikation zwischen Gerät und Cloud sicherzustellen. Wird das Gerät mit einem individuellen Zertifikat ausgeliefert, kann es dementsprechend schon bei der Einrichtung eine geschützte Verbindung aufbauen. Das sei bei Tesvor aber nicht der Fall. Die Roboter gelangen ohne Zertifikat zum Kunden und rufen es bei der erstmaligen Aktivierung vom Server des Herstellers ab. Das ermöglicht eine sogenannte Man-in-the-Middle-Attacke. Dabei wird das Zertifikat, vereinfacht gesagt, von einem Mithörer zwischen Roboter und Server abgefangen.

Die Wissenschaftler haben das Unternehmen auf die Sicherheitsprobleme hingewiesen. Nach eigener Aussage aber bislang noch keine Antwort erhalten.

Mehr Beiträge zum Thema IT-Sicherheit:

Ein Beitrag von:

  • Nicole Lücke

    Nicole Lücke macht Wissenschaftsjournalismus für Forschungszentren und Hochschulen, berichtet von medizinischen Fachkongressen und betreut Kundenmagazine für Energieversorger. Sie ist Gesellschafterin von Content Qualitäten. Ihre Themen: Energie, Technik, Nachhaltigkeit, Medizin/Medizintechnik.

Themen im Artikel

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.